---
kind: QUESTION
slug: messaging-security-f03
title: ACL 매니페스트 전체가 쓰이지 않는다
topic: security-policy-enforcement
project: clean-architecture-backend-template
status: 게시 전
sourceRevision: 21234e38cdb9a926cbc92bb97a2aee2e4a7d2916
rootTreeNode: open-question:messaging-security-f03
questionStatus: OPEN
verifiedOn:            # 이 기록은 이번 회차에 실행 확인을 하지 않았다
source:
  - final/document.md#a19-messaging-security#L652
---

# ACL 매니페스트 전체가 쓰이지 않는다

브로커가 producer 자격증명에 파괴적 권한을 준 경우를 아무도 보지 않는다. 그것을 보라고 만든 매니페스트가 소비자 0 이다.

## 관계

- **배선된 게이트는 자기 leaf 레인에서 검증한다**
  같은 분석 리프에서 끌어낸 규칙이다.
- **같은 술어가 두 타입에 있으면 하나가 다른 하나를 부른다**
  같은 분석 리프에서 끌어낸 규칙이다.
- **가변 필드로 상태 전이를 표현하면 가시성을 함께 정한다**
  같은 분석 리프에서 끌어낸 규칙이다.
- **맵 갱신 함수 안에서 I/O를 하면 그 지연이 락 범위가 된다**
  같은 분석 리프에서 끌어낸 규칙이다.

## 사실

BrokerAclManifest 의 세 메서드(requireApplicationRuntime · undeclared · missing)와 두 enum 이 소비자 0 이다. git grep -l 'BrokerAclManifest' -- src ':!src/messaging/messaging-security' 가 아무것도 돌려주지 않는다.

javadoc 은 "The manifest is what the platform checks itself against at startup" 이라고 적는다.

"애플리케이션 런타임은 파괴적 권한을 갖지 않는다" 가 이 leaf 의 핵심 원칙 중 하나인데, MessageSecurityValidator 는 admin 자격증명의 부재만 검사한다.

## 미지수

브로커 ACL 을 읽는 경로가 있는가. 그 답은 messaging-admin-api 가 갖는다. 읽을 수 없다면 이 매니페스트는 자기 점검이 아니라 선언에 그친다.

## 선택지

startup 검사에 배선한다
   선언된 권한과 실제 권한의 차이가 부팅 시점에 드러난다.

읽기 경로가 없음을 javadoc 에 적는다
   "platform checks itself" 라는 문장이 현재 상태와 맞아진다.

## 다음 검증

messaging-admin-api 에서 브로커 ACL 조회 경로의 존재를 확인한다. 그 leaf 가 답을 소유한다.